TED позволяет одноранговому пользователю IPSec найти другого однорангового пользователя с помощью отправки специального пакета протокола ISAKMP (Протокол управления ключами Ассоциации безопасности Интернет) на IP-адрес назначения исходного пакета данных, который должен быть зашифрован. Предполагается, что этот пакет пройдет через промежуточную сеть, следуя по тому же пути, что и туннельный пакет IPsec. Этот пакет будет подхвачен одноранговым узлом IPsec на другом конце, о чем он сообщит первому одноранговому узлу. Затем выполняется сопоставление безопасности IPsec и ISAKMP и создание туннеля IPsec.
Это сработает только в том случае, если пакеты данных, которые необходимо зашифровать, имеют маршрутизируемые IP-адреса. TED можно использовать в сочетании с GRE туннелями, настройки которых приведены в предыдущем разделе. Это было успешно протестировано, хотя в ранних версиях ПО Cisco IOS возникали большие проблемы, когда TED вынужденно шифровал не только туннельные пакеты GRE, но и весь IP трафик между двумя одноранговыми узлами IPsec. Решение DMVPN предоставляет эту и другие дополнительные возможности, при этом узлам не требуется использовать маршрутизируемые IP-адреса Интернета и отправлять тестовые и ответные пакеты.
С небольшими изменениями настройка из последнего раздела может использоваться для поддержки маршрутизаторов луча с динамическими IP-адресами на внешних физических интерфейсах. Маршрутизатор концентратора (без изменений) crypto ipsec profile vpnprof set transform-set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.1 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id 100000 ip nhrp holdtime 600 no ip split-horizon eigrp 1 delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof !
interface Ethernet0 ip address 172.17.0.1 255.255.255.0 Маршрутизатор луча (старый) crypto map vpnmap1 10 IPsec-isakmp set peer 172.17.0.1 set transform-set trans2 match address 101 ! ... ! access-list 101 permit gre host 172.16. .1 host 172.17.0.1 Маршрутизатор луча (новый) crypto map vpnmap1 10 IPsec-isakmp set peer 172.17.0.1 set transform-set trans2 set security-association level per-host match address 101 ! ... ! access-list 101 permit gre any host 172.17.0.1